STP とクライアント インフラストラクチャとの VLAN の共有

[Translator]

STP VLAN ルートに関する質問があります。

コール センター(CC)で作業している場合、この組織は Cisco SWs を使用して L2 インフラストラクチャを管理します。一部のクライアントはハイブリッド トポロジを使用します (コール センター L2 SW を使用してエンド ユーザーを接続しますが、L3 SW と FW に接続してネットワーク サービスに接続します)。

CC は管理として使用する Vlan 10 で、STP ルート ブリッジはデフォルト(最小 SW Mac Add 管理)として配置されました。

ルート ブリッジのトレースルートを実行すると、Vlan 10 が会社から別の Sw に到達することがわかりました。

例：

Switch_Core#sh スパニング ツリー ルート

!

VLAN ルート ID コスト時間の年齢 Dly ルート ポート

VLAN0010 32768 0026.995a.fb00 42 2 20 15 Gi0/48

!

!

Switch_Dist#sh スパニングツリー ルート |i VLAN0010

VLAN0010 32768 0026.995a.fb00 38 2 20 15 Gi0/8

!

次のステップとしてこの VLAN ルート ブリッジ スイッチは、38 のコストでクライアント スイッチ(アクセスできない)に到達します。

管理者 VLAN ルート ブリッジ(VLAN 10)が別のスイッチ トポロジの下にあるため、この CC が攻撃にさらされる可能性があるかどうかが私の質問ですか?

このトポロジは作成していませんが、これらの設定の間違いと、ルート ブリッジの再配置のスパニング ツリーの再設計により、スイッチ コアの最高値を提供し、提案した RSTP へのアップグレードが最近承認されました。しかし、管理者 VLAN が長い間公開されてきた結果は何か疑問に思います。

質問をSPAM(昨日私はこの質問を投稿し、誰かがスパムとしてマークされた)として評価しないでください)、STPがCCNAレベルとしてどのように機能するかを理解するのに数ヶ月かかりましたが、本書はルートVLANとSTPを他のクライアントトポロジと共有することについての説明を提供していません。シスコが私が何らかのルールをブローキングしていると信じているなら、親切に教えてください。

STP 変更管理が承認された以上に、クライアントのトポロジがこの管理 VLAN ルートを持つ可能性のある結果を理解したいと思います (コール センター サーバーはこの VLAN で実行されています)。

ありがとうございました。

[Translator]

こんにちは@patramirezort、

あなたのコントロールの下のスイッチで、あなたが使用できるルートブリッジでなければならないもの

(ここではPVSTまたはラピッドPVSTを使用していると仮定しています、 showスパニングツリーの概要でこれをチェックすることができます)

コント

スパニングツリー VLAN 10 プライオリティ 0

Wanring: VLAN 10 では STP の再計算が発生しますが、スイッチはルート ブリッジになります。

営業時間外に行うが、それは分がかかります

最終的には、使用できるプライマリ ルート ブリッジのバックアップを行う、制御下の 2 番目のスイッチで、次の操作を行います。

コント

スパニングツリー VLAN 10 プライオリティ 4096

助けることを望む

ジョセフ

[Translator]

こんにちは、私の質問は、サードパーティ(クライアントインフラストラクチャ)の可能性のある結果に非常に長い間コールセンター管理ルートVLANが所有されており、コールセンターVTPドメインにはパスワードが有効になっていないため、コールセンターが何らかの攻撃にさらされているかどうかを知っています。

ルート ブリッジを変更し、スイッチ コアに VLAN ルート ブリッジ管理を提供するために、STP 変更管理が承認されました (ただし、実装する日が保留されています)。

ありがとうございました

[Translator]

コールセンター VTP ドメインにはパスワードが有効になっていないため、コール センターの管理者ルート VLAN が長い間、コール センターが公開されたかどうかを知るために、第三者 (クライアント インフラストラクチャ) が長い間所有されている可能性のある結果について、誰かが言及してください。

STP 変更管理は、コア スイッチに (RSTP へのアップグレードを使用して) ルート ブリッジ管理を再編成するために既に承認されていますが、コール センター ネットワークが何らかの攻撃にさらされているかどうかを知って興味深い。

ありがとうございました。

[Translator · Accepted solution]

こんにちは

パスワードのない VTP ドメインに関しては、VTP および STP は独立しています。ルート スイッチが誰であるかに関係なく、VTP が攻撃された可能性があります。つまり、VTP に悪い行為をしようとした場合、VTP への攻撃によって新しい VLAN が作成されたり既存の VLAN が削除されたりするため、すでに気付いたのではないかと思います。このような変化は比較的簡単に見つけることができます。

サードパーティのネットワークに配置されているルートスイッチについては、よく.ルート スイッチの配置は、エンド ホストやスイッチ自体の到達可能性に影響を与えなくなります。ルート スイッチがネットワーク内に存在するユーザーに関係なく、結果として生じるループフリー トポロジには、ネットワークに接続されているすべてのスイッチとすべてのエンド ホストが含まれ、デバイスのペア間の接続性が提供されます。この観点から、ルート スイッチをサードパーティのネットワークに配置するだけでは、攻撃者は既に利用可能なデバイスに対して追加のアクセスを取得することはできません。ただし、ループのないトポロジがどのように見えるか、およびネットワーク内のトラフィック パターンに基づいて、攻撃者は以前はアクセスできなかったトラフィック フローにアクセスする可能性があります。しかし、そのような盗聴が起こった場合、それを証明することはほとんど不可能でしょう。

よろしくお願いいたします
ペテロ

[Translator]

ご意見ありがとうございます。

[Translator]

こんにちは@patramirezort、

VTPバージョン2を使用する場合は、VTPドメインの保護のためのパスワードをusindは、私が提案し、それが追加することができるものです。

パスワードを追加するための変更はメンテナンス期間を必要としますが、展開中に実際の影響はありません

最後に、すべてのスイッチが再び同じVPドメイン内にあるが、ハッシュ(私が正しく覚えているなら16バイト)であることを確認することができます。

VTP バージョン 3 への移行を長期にする場合、VTP データベースを変更できるリビジョン番号が大きい不正スイッチの問題が解消されるので、セキュリティに最適です。

VTP バージョン 3 に移行する前にコイウルスのを使用して確認する必要があります。

vtp ステータスを表示する

すべてのスイッチが VTP バージョン 3 をサポートしていること。

これはより大きな変化になりますが、長期的には賢明な動きです。

助けることを望む

ジョセフ

[Translator]

ジョセフ

また 、@patramirezort がネットワークでVTPを積極的に使用している場合は、パスワードで保護するのが最善であることに同意します。同時に、VTPの欠陥を知って、私は個人的にVTPから完全に離れてミグを考えるお勧めします。ネットワーク サイズが小さい場合 (スイッチのほんの一部)、VLAN の追加や削除が頻繁に行われない場合、VTP を実行してもメリットはほとんどありません。そのような場合は、VTP を完全に無効にする (または少なくともトランスペアレント モードに移動する) 方が安全です。

VTP パスワードを設定するためのメンテナンス ウィンドウの必要性については、私は丁重に反対します。VTP パスワードの設定は、無停止操作です。VTP パスワードの不一致は、VLAN データベースへの変更が別の VTP パスワードを使用してスイッチによって受け入れられませんが、既存の VLAN は消えません - そのまま残ります。唯一の本当のリスクは、VTP プルーニングです。VTP プルーニングがオンの場合、パスワードの不一致により、ブロードキャスト/不明ユニキャスト/マルチキャスト(BUM)トラフィックのブラックホールが発生する可能性があります。

よろしくお願いいたします
ペテロ

[Translator]

こんにちはピーター,

>> VTP パスワードを設定するためのメンテナンス ウィンドウの必要性については、私は丁重に反対します。

はい、技術的な観点からは、VTP パスワードの展開に影響を与えるべきではありません。

私は私が書くべき間違った方法で私の考えを表現しました:

「パスワードを追加する変更は、展開中に実際の影響がないため、メンテナンスウィンドウを必要としません。しかし、会社での変更管理のしくみ(ITILポリシーなど)によっては、あなた(=元のポスター)が要求する方が慰めになるかもしれません。

VTP トランスペアレント モードへの移行は、可能なアドバイスであり、ネットワークが VLAN の安定したセットで小さい場合や、ネットワークの自動化が IT によって使用される場合に VLAN を作成および削除する必要がある大規模な環境でも、この方法は適しています。

元のポスターの管理下にあるスイッチの数はわかりません。新しい VLAN が新規顧客のために追加されると考えられる複数の顧客にサービスを提供するコンタクト センターである VLAN のセットは安定していると仮定できます。

しかし、それ以上言うのは難しいです。

助けることを望む

ジョセフ

[Translator]

私はちょうど数年前に、VTPプルーニングで生産の問題に遭遇し、追加したかった。 VLAN が数分間動作する本番ネットワークの一部を持ち、その後動作を停止しました。 私は問題を見つけ、それを解決しました。

完全な詳細を思い出さないでください, しかし、それはVTPと剪定によるものでした. シスコは正常に動作していた、つまりバグではありませんでしたが、VTP が実際に VLAN 情報をプルーニングするのにかかる時間の様々なタイマーに何らかの形で関連していました。 私は(?)それはVTP(クライアント[またはサーバー]として)を実行していなかったスイッチ、横断的な原因があると思います。

個人的にはVTPが好きですが、従来の(そして不注意な)運用ネットワークに前のラボスイッチを追加することで、本番ネットワーク全体のVLANが落とされているのを見てきました。 (ところで、少なくともその1つでは、それは私ではありませんでした。

VTPは、私にとって「マッチ」のようなものです。 非常に便利ですが、不注意な場合は火傷を負います。

私はそれを使用していませんが、VTPv3の読み取りは、以前のVTPバージョンで起こり得る「古典的な」「事故」のほとんどに対処しています。

ああ、私は確かに思い出しませんが、VTP v1またはv2、パスワードはクリアテキストで渡されるかもしれません。 つまり、超強力なセキュリティオプションではありませんが、安全なVTP操作を保証するための別の「セーフガード」であり、実際のVTPドメインの定義と一緒に使用することをお勧めします。 「事故」を排除するために両方を設定します。

[Translator]

こんにちは @Joseph W. ドハティ ,

ラボの再構築を避けるために、ハイガー リビジョン番号を持つスイッチを追加する可能性のある事故をラボでテストしただけで、新しい VLAN を追加して VLAN DB を更新できたことを実証しました。

>>私は確かに思い出しませんが、VTP v1またはv2、パスワードはクリアテキストで渡されるかもしれません。

私の理解では、パスワードは少なくともVTPバージョン2でMD5ハッシュを作成するために使用されます。

今すぐMD5は壊れると見なされますが、少なくともパスワードはクリアテキストで送信されません。

VTPv3 は本当に大きな改善であり、MST と組み合わせることができ、追加のデータベースを使用すると、VLANS を MST インスタンスマッピングに広告表示できるため、変更が発生した場合のライフを簡単にします。

VTPv3 では、プライマリ サーバのみが VLAN データベースに変更を加えることができ、これにより古いバージョンのすべての問題が解決されます。

助けることを望む

ジョセフ

[Translator]

こんにちは

ベストプラクティスの推奨事項をもう一度ありがとうございます。

よろしく

パトリシア

[Translator]

良い一日ジュゼッペ,

VTP のベストプラクティスに関する推奨事項をありがとうございます。

パトリシア

[Translator]

こんにちは

あなたのVTPの推奨事項をありがとうございました。